FTK Imager – Acquisition Tool

FTK imager merupakan sebuah acquisition tool digital forensik yang dibuat oleh AccessData. FTK imager ini gratis, namun jangan salah, fasilitas dan kemampuannya tidak kalah dengan software acquisition berbayar.
FTK Imager dapat didownload secara gratis di laman download AccessData (catatan : produk lain bisa didownload namun tidak bisa dijalankan karena membutuhkan license dongle yang harganya sangat mahal). Di situ Anda bisa mendownload versi instal dan versi lite yang tidak memerlukan instalasi. Dari pengalaman di lapangan, versi lite lebih fleksibel karena bisa dijalankan via USB flashdisk di komputer suspect.

FTK Imager dapat digunakan untuk membuat image sebuah drive (physical imaging), membuat image isi sebuah folder, maupun membuat custom image yang terdiri atas file-file yang kita pilih saja. Masing-masing opsi sangat berguna di dalam kondisi lapangan yang berbeda-beda dan jenis evidence yang kita cari.
Physical imaging akan membuat image dari harddisk suspect, oleh karena itu tentu saja memakan waktu yang lama karena kita harus mengkopi seluruh konten harddisk ke dalam media eksternal kita yang biasanya menggunakan port USB (misal HDD eksternal). Dibandingkan dengan hardware clone dan hardware imaging yang menggunakan hardware, kecepatan physical imaging dari FTK imager ini tentu kalah jauh. Namun FTK imager sangat berguna terutama di lingkungan di mana kita tidak bisa serta-merta mencopot harddisk untuk melakukan kloning maupun imaging menggunakan hardware, sebagai contoh komputer yang masih tersegel garansi, laptop DELL (harddisk terletak di bagian paling dalam), dan server. Di sinilah FTK imager berperan penting dalam data acquisition sekaligus menjaga agar verifikasi evidence tetap dilakukan, karena FTK imager akan mengkalkulasi Hash value dari image dan juga membuat manifest dari image yang dibuatnya.

Kita telah membahas secara sekilas manfaat FTK imager dalam dunia digital forensik. Nah, FTK imager ini juga ada manfaatnya dalam pemakaian komputer kita sehari-hari loh. Dari pengalaman, FTK imager mampu mendeteksi drive yang tidak terbaca oleh windows explorer. Syaratnya tentu saja hardware drive tersebut mampu dideteksi oleh Windows. Untuk mengeceknya, masuk ke control panel -> administrative tools -> drive management. Perhatikan apakah hardware baru Anda telah terdeteksi. Bila sudah mampu terdeteksi namun tidak terbaca di windows explorer. gunakanlah FTK imager.
Caranya, buka FTK imager, kemudian add evidence item, pilih physical drive, next. Di jendela selanjutnya Anda akan melihat daftar seluruh hardware media penyimpanan yang dapat dipilih. Carilah di antara daftar ini flashdisk atau HDD eksternal Anda yang tidak terdeteksi oleh windows explorer, kemudian klik finish.
Sesaat kemudian FTK imager akan me-load isi drive dan Anda bisa memulai memindahkan isinya ke tempat lain.
FTK imager juga bisa mengkopi file-file sistem yang terprotect yang biasanya kita tidak bisa sembarangan mengkopinya, semisal file-file registry. Di FTK imager kita juga bisa melihat beberapa file yang statusnya sudah terhapus, unallocated space, dan orphan.